? Amazon. co. jp この措置を講じましたが、ご提供いただいた情報がカード発行会社のファイルの情報と一致していませんというメールがフィッシング詐欺か分析する

公開日:2020/10/3

? Amazon. co. jp この措置を講じましたが、ご提供いただいた情報がカード発行会社のファイルの情報と一致していませんというメールがフィッシング詐欺か分析します。

支払い情報がカード発行会社のファイルの情報と一致していない、といった内容です。

本文は以下の通り。

お客様各位 example@example.com,

私たちはあなたのAmazonアカウントとすべての保留中の注文を保持しました。

ご提供いただいたお支払い情報がカード発行会社のファイルの情報と一致していません。この問題を解決するには、支払いカードに登録されている名前、住所、電話番号を確認してください。最近引っ越した場合は、カード発行会社でこの情報を更新する必要があるかもしれません

Login Amazon

これには時間がかかります。1日以内に確認プロセスを完了できない場合、保留中のすべての注文がキャンセルされます。このプロセスが完了するまで、アカウントにアクセスできません。新しい注文は遅れる可能性があるため、新しいアカウントを開設しないでください。

弊社のセキュリティ対策にご理解とご協力をお願いいたします。

ご清聴ありがとうございました。

よろしく,

Amazon Web Service

© 2020 Amazon.com, Inc. or its affiliates. Amazon, Amazon Echo, Alexa, Prime and all related logos are trademarks of Amazon.com, Inc. or its affiliates. Amazon.com, 410 Terry Avenue N., Seattle, WA 98109-5210.

まずは送信元を調べてみます。

From: "amazon.co.jp" <account-update@amazon.co.jp>
Return-Path: <ghjytwewqe@u0005622m0150jp.u037jp3687.info>

1 2	From: "amazon.co.jp" <account-update@amazon.co.jp> Return-Path: <ghjytwewqe@u0005622m0150jp.u037jp3687.info>

送信元はamazon.co.jpとなっています。

送信元メールアドレスはaccount-update@amazon.co.jpで、これはAmazonのフィッシング詐欺によく用いられるメールアドレスです。

案の定、Return-Pathはghjytwewqe@u0005622m0150jp.u037jp3687[.]infoとなっており、Amazonのものとは異なります。

次に送信元サーバーを調べてみます。

Received: from u037.u037jp3687.info (u037.u037jp3687.info [160.16.226.203])

1	Received: from u037.u037jp3687.info (u037.u037jp3687.info [160.16.226.203])

160.16.226.203というIPアドレスが出てきました。

これは日本のさくらインターネットのIPアドレスのようです。

メール本文中にあるリンクの誘導先も調べてみます。

メール本文のソースをデコードしてみると

<A href="https://www.amaccount.b7109c6681ac2643d596204e4.xyz" rel=nofollow target=_blank>Login Amazon</A>

1	<A href="https://www.amaccount.b7109c6681ac2643d596204e4.xyz" rel=nofollow target=_blank>Login Amazon</A>

リンク先は上記のようになっており、Amazonではなく https://www.amaccount.b7109c6681ac2643d596204e4[.]xyz というURLに誘導していることが分かります。

whois情報を見ると、米国で登録されています。

Domain Name: B7109C6681AC2643D596204E4.XYZ
Registry Domain ID: D202809818-CNIC
Registrar WHOIS Server: whois.namesilo.com
Registrar URL: https://www.namesilo.com
Updated Date: 2020-10-02T08:16:01.0Z
Creation Date: 2020-10-02T08:06:21.0Z
Registry Expiry Date: 2021-10-02T23:59:59.0Z
Registrar: NameSilo, LLC
Registrar IANA ID: 1479
Domain Status: serverTransferProhibited https://icann.org/epp#serverTransferProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: addPeriod https://icann.org/epp#addPeriod
Registrant Organization: See PrivacyGuardian.org
Registrant State/Province: AZ
Registrant Country: US
Registrant Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Admin Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Tech Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Name Server: DANICA.NS.CLOUDFLARE.COM
Name Server: MEMPHIS.NS.CLOUDFLARE.COM
DNSSEC: unsigned
Billing Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.
Registrar Abuse Contact Email: abuse@namesilo.com
Registrar Abuse Contact Phone: +1.4805240066
URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/
>>> Last update of WHOIS database: 2020-10-03T04:01:07.0Z <<<

Domain Name: B7109C6681AC2643D596204E4.XYZ

Registry Domain ID: D202809818-CNIC

Registrar WHOIS Server: whois.namesilo.com

Registrar URL: https://www.namesilo.com

Updated Date: 2020-10-02T08:16:01.0Z

Creation Date: 2020-10-02T08:06:21.0Z

Registry Expiry Date: 2021-10-02T23:59:59.0Z

Registrar: NameSilo, LLC

Registrar IANA ID: 1479

Domain Status: serverTransferProhibited https://icann.org/epp#serverTransferProhibited

Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited

Domain Status: addPeriod https://icann.org/epp#addPeriod

Registrant Organization: See PrivacyGuardian.org

Registrant State/Province: AZ

Registrant Country: US

Registrant Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.

Admin Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.

Tech Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.

Name Server: DANICA.NS.CLOUDFLARE.COM

Name Server: MEMPHIS.NS.CLOUDFLARE.COM

DNSSEC: unsigned

Billing Email: Please query the RDDS service of the Registrar of Record identified in this output for information on how to contact the Registrant, Admin, or Tech contact of the queried domain name.

Registrar Abuse Contact Email: abuse@namesilo.com

Registrar Abuse Contact Phone: +1.4805240066

URL of the ICANN Whois Inaccuracy Complaint Form: https://www.icann.org/wicf/

>>> Last update of WHOIS database: 2020-10-03T04:01:07.0Z <<<

IPアドレスは、23.247.11.89で、例によってLayerHostです。

OrgName:        LayerHost
OrgId:          LH-363
Address:        900 N. Alameda Street.
City:           Los Angeles
StateProv:      CA
PostalCode:     90012
Country:        US　　　→　（アメリカ合衆国）
RegDate:        2020-01-27
Updated:        2020-04-29
Comment:        https://www.layerhost.com
Comment:        Standard NOC Hours 24/7
Comment:        +1-833-247-HOST (4678)
Ref:            https://rdap.arin.net/registry/entity/LH-363